Una vulnerabilità nel sistema di chiamate vocali di WhatsApp ha permesso l’installazione di un sofisticato software di sorveglianza su un numero imprecisato di smartphone degli oltre 1,5 miliardi di utenti dell’applicazione. Secondo il Financial Times, lo spyware sarebbe stato sviluppato da NSO Group, società israeliana che fornisce sistemi di sorveglianza informatica a vari governi e che secondo l’autorevole quotidiano è impegnata in operazioni non sempre cristalline.
Ci sei? Ti cercano… WhatsApp ha scoperto nei primi giorni di maggio che il software attaccava iPhone, cellulari Android e Windows Phone attraverso una o due chiamate vocali che poi sparivano dal registro delle chiamate, e che permettevano l’installazione del programma-spia anche senza rispondere alla chiamata. Una volta installato, il software poteva accedere a microfono e fotocamera, monitorare email e messaggi e localizzare la posizione.
Indagini in corso. Non è chiaro quanti utenti siano stati presi di mira, né esattamente chi ci sia dietro: WhatsApp, società che appartiene a Facebook, ha fatto sapere che l’attacco è stato probabilmente diretto da “un governo verso utenti specifici”, ma non ha fornito ulteriori dettagli.
Contattata dal Financial Times l’azienda di Zuckerberg ha dichiarato: «Questo attacco ha tutte le tracce caratteristiche di una società privata nota per lavorare con i governi per realizzare spyware che prendano il controllo delle funzioni dei sistemi operativi dei cellulari. Abbiamo informato diverse organizzazioni per i diritti umani sulla situazione, e siamo al lavoro con esse per informare la società civile».
Certo, non è un’immagine “politically correct”, ma in questi giorni va alla grandissima.
Secondi fini. La gravità della situazione sfugge, a quanto pare, anche ai tecnici dell’azienda di Zuck, che dopo gli scandali su fake news e influenza sulle elezioni di mezzo mondo si trova a gestire un’altra grana dai contorni ben più torbidi di una “semplice” lesione della privacy.
Lo spyware più famoso di NSO – Pegasus – è stato teoricamente sviluppato per combattere crimine e terrorismo e sorvegliare soggetti sospetti, tuttavia sarebbe stato di recente utilizzato per monitorare semplici cittadini, giornalisti, legali e attivisti impegnati nella tutela dei diritti umani. In passato attivisti per i diritti umani in Medio Oriente hanno ricevuto messaggi WhatsApp contenenti link che causavano l’installazione di Pegasus sui loro cellulari.
L’ultimo attacco. Il 12 maggio, mentre WhatsApp affrontava una corsa contro il tempo per risolvere la falla nella sicurezza, è stato attaccato lo smartphone di un avvocato inglese impegnato nella difesa dei diritti umani, “colpevole” di aver assistito giornalisti e dissidenti in alcune cause contro la compagnia israeliana.
I ricercatori di Citizen Lab dell’Università di Toronto (un laboratorio che si occupa di informazione digitale, diritti umani e sicurezza globale) stavano tenendo sotto controllo (autorizzato) il telefono del legale, proprio per i forti sospetti di una possibile intrusione. Quando è arrivata la chiamata sospetta, hanno confermato che il tentativo di installazione dello spyware è fallito perché le misure messe in campo da WhatsApp si erano rivelate efficaci.
Come proteggersi. Secondo i tecnici della app, il problema è stato risolto lo scorso venerdì 10 maggio, e lunedì 13 è stata rilasciata la versione aggiornata di WhatsApp, che tutti gli utenti sono caldamente invitati a scaricare, anche perché non c’è modo di scoprire se il proprio telefono è stato infettato.
Per gli Android, la versione aggiornata è la 2.19.134: se il vostro cellulare non l’ha già scaricata in automatico, andate su Google Play Store, aprite nel menù a tendina Le mie app e i miei giochi e verificate la disponibilità di aggiornamenti per le applicazioni installate. Per gli iPhone, la versione più recente per iOS è la 2.19.51: cliccate su Aggiornamenti nella barra inferiore dell’App Store e poi su Aggiorna vicino all’icona di WhatsApp. Ma anche in questo caso gli aggiornamenti potrebbero essersi già installati in automatico.
